Selon une étude Orca Security menée en 2025 sur 1 800 organisations européennes et nord-américaines, 73 % des entreprises disposent d'actifs IT significatifs absents de leur inventaire officiel. Le chiffre est répété depuis des années par différentes sources — et depuis des années, il ne baisse pas. Il augmente, parce que la vitesse de déploiement cloud, SaaS et IoT est structurellement supérieure à la vitesse de mise à jour des bases de référence.
La directive NIS2, dans son Article 21.2.a, impose aux entités concernées la mise en place de « politiques et procédures relatives à l'identification des actifs pertinents ». DORA, dans son Article 28, exige un registre d'information sur les arrangements ICT, incluant les actifs critiques et les dépendances. Dans les deux cas, la conformité suppose un inventaire — et un inventaire suppose que vous savez ce qui existe.
Dans cet article, vous découvrirez les trois catégories d'actifs systématiquement absentes des inventaires lors des premiers audits NIS2, pourquoi les approches traditionnelles de gestion de CMDB échouent à les capturer, et quelle méthode d'inventaire continu permet d'y remédier.
Le contexte réglementaire : l'inventaire comme fondation, pas comme livrable
L'inventaire des actifs est souvent traité comme une tâche de préparation — un livrable à produire avant l'audit, puis à archiver. C'est une erreur de cadrage qui explique en partie pourquoi la majorité des inventaires NIS2 sont incomplets dès leur production.
NIS2 ne demande pas un document d'inventaire. Il exige des « politiques et procédures » d'identification des actifs — c'est-à-dire un processus continu, pas une photographie ponctuelle. La différence est structurante. Un inventaire produit en 2025 et non mis à jour en 2026 ne prouve pas la conformité de 2026 : il prouve que vous étiez potentiellement conforme il y a un an.
Pour les entités soumises à DORA, la contrainte est encore plus explicite : le registre d'information doit être maintenu à jour et disponible pour la supervision. L'Autorité Bancaire Européenne a publié des formats standardisés (templates EBA) qui structurent ce registre. La qualité de sa mise à jour fait partie des éléments évalués lors des inspections, sans qu'une demande préalable soit nécessaire.
Enfin, l'inventaire des actifs n'est pas seulement une exigence en soi — il est le prérequis de toutes les autres mesures de l'Article 21. Vous ne pouvez pas appliquer une politique de patch management à un actif que vous ignorez. Vous ne pouvez pas surveiller un système dont vous ne savez pas qu'il existe. Vous ne pouvez pas notifier un incident impactant un actif absent de votre périmètre déclaré.
Première catégorie d'angle mort : le SaaS souscrit hors DSI
La prolifération des abonnements SaaS est le vecteur de shadow IT le plus documenté — et le moins maîtrisé. Elle résulte d'un changement structurel : le coût marginal d'un abonnement SaaS est suffisamment faible pour être validé par une carte de crédit individuelle ou un budget opérationnel de service, sans passer par la DSI.
Une équipe marketing souscrit un outil de segmentation de données clients. Une direction financière déploie un add-on Excel connecté à un service cloud tiers. Un responsable RH utilise un outil de gestion des entretiens hébergé aux États-Unis. Individuellement, chaque usage semble anodin. Collectivement, ils constituent des traitements de données personnelles, des accès ouverts sur l'extérieur, et des dépendances opérationnelles que votre DSI ne connaît pas.
Selon Gartner, une organisation de taille intermédiaire (500 à 2 000 collaborateurs) déploie en moyenne 254 applications SaaS dans ses environnements — dont 40 à 60 % sont utilisées sans connaissance explicite de la DSI. Pour NIS2, chaque application SaaS traitant des données sensibles ou connectée à vos systèmes d'information constitue un actif pertinent au sens de l'Article 21.
L'erreur courante : restreindre l'inventaire aux licences gérées par les achats IT. Les achats opérationnels passent sous le radar, et les outils gratuits (version freemium) n'apparaissent nulle part. Un audit de flux DNS sortants sur 30 jours révèle systématiquement des connexions vers des services non référencés.
Deuxième catégorie d'angle mort : la dette cloud des équipes développement
Les environnements cloud ont une propriété que les infrastructures on-premise n'avaient pas : ils se déploient en quelques minutes, par n'importe qui disposant d'un accès à une console. Les équipes de développement créent des comptes AWS, Azure ou GCP pour des projets spécifiques, des tests, des environnements de staging — et ces environnements survivent au projet. Les « forgotten instances » — machines virtuelles et fonctions serverless déployées et oubliées — constituent un angle mort classique.
Un audit conduit par une équipe de sécurité sur 47 organisations européennes de taille intermédiaire en 2025 (Wiz Threat Research) a identifié en moyenne 23 % d'actifs cloud actifs non référencés dans l'inventaire officiel. Ces actifs ne sont pas nécessairement exposés — mais ils ne sont pas surveillés, patchés, ou intégrés dans les plans de réponse aux incidents. En cas de compromission, ils constituent des pivots latéraux invisibles pour votre équipe de détection.
L'erreur courante : considérer que le tableau de bord de votre cloud provider couvre votre inventaire. Il couvre votre inventaire dans ce cloud provider, dans ce tenant, dans cet abonnement. Les accès de développeurs à des tenants personnels ou à des comptes de test non rattachés au tenant d'entreprise restent invisibles.
Troisième catégorie d'angle mort : les équipements OT et IoT connectés au SI
La convergence IT/OT est un phénomène structurel dans les secteurs industriels, de santé, et de transport — trois des 18 secteurs couverts par NIS2. Les équipements opérationnels (automates industriels, systèmes de gestion technique de bâtiment, caméras de surveillance, capteurs IoT) sont de plus en plus connectés aux réseaux d'information pour des raisons de supervision et de maintenance à distance.
Ces équipements ont une caractéristique qui les rend particulièrement problématiques pour l'inventaire : ils ont souvent été déployés par des équipes techniques non-DSI (équipes maintenance, facilities management, directions métier), ils fonctionnent avec des protocoles que les outils d'inventaire IT classiques ne détectent pas, et leur cycle de vie est mesuré en décennies, non en années. Ils ne reçoivent pas de patchs réguliers, ne disposent pas toujours de journaux centralisés, et leur firmware peut dater de plusieurs générations.
Pour NIS2, ces équipements constituent des actifs pertinents dès lors qu'ils sont connectés à des systèmes d'information. L'Article 21.2.h impose la sécurité de la chaîne d'approvisionnement — ce qui inclut les équipements OT connectés dont les firmware sont fournis et maintenus par des tiers.
Comment évaluer l'étendue réelle de votre périmètre
La découverte d'actifs inconnus ne se fait pas par des méthodes d'inventaire traditionnelles — précisément parce que ces méthodes reposent sur une déclaration de ce qui existe. Trois approches complémentaires permettent de capturer ce que les CMDB manquent.
La découverte passive par flux réseau. L'analyse des flux DNS sortants, des connexions établies sur vos points de sortie internet, et du trafic interne nord-sud révèle les destinations auxquelles vos systèmes se connectent — y compris les services SaaS non référencés et les instances cloud orphelines. Cette découverte est non-intrusive et ne perturbe pas les opérations.
L'inventaire par identité. Ce qui existe peut être inféré de ce qui est utilisé — et ce qui est utilisé laisse des traces dans vos fournisseurs d'identité. Un export des applications ayant reçu un token OAuth dans votre tenant Azure AD ou Okta dans les 90 derniers jours liste l'ensemble des services auxquels vos collaborateurs se sont authentifiés. Ce n'est pas un inventaire exhaustif — c'est un inventaire des actifs vivants, qui complète avantageusement une CMDB statique.
L'audit des dépenses opérationnelles. Une revue des relevés de dépenses des cartes bancaires professionnelles, croisée avec les factures de services cloud par département, révèle les abonnements souscrit hors DSI. Cette approche est souvent perçue comme intrusive — elle l'est, et c'est la raison pour laquelle elle doit être conduite dans un cadre défini, avec l'accord de la direction générale.
Presidio intègre un module de qualification d'actifs connecté à vos fournisseurs d'identité et à vos journaux réseau, qui automatise la découverte continue et génère une cartographie du périmètre réel à destination du RSSI et des auditeurs. Voir les fonctionnalités Presidio →
Conclusion
Trois insights à retenir. Un inventaire d'actifs n'est jamais « terminé » : c'est un processus continu que la vitesse de déploiement cloud et SaaS rend caduc en quelques semaines. Le shadow IT n'est pas un problème de comportement utilisateur : c'est le symptôme d'un processus d'approvisionnement IT qui n'a pas évolué au même rythme que les outils disponibles. Et un actif absent de votre inventaire n'est pas un actif géré : c'est un risque non déclaré que votre autorité de supervision peut identifier avant vous.
Les organisations qui abordent leur audit NIS2 avec maturité commencent par une question simple : « quelle est la différence entre le périmètre que nous déclarons et le périmètre réel ? » La réponse honnête à cette question est le point de départ de toute conformité sérieuse.
Et dans votre contexte, avez-vous la visibilité nécessaire pour répondre à cette question avec précision ?
Lire aussi : Identités non humaines : l'angle mort de vos audits NIS2 et DORA — Gouvernance des tiers : les angles morts du risque fournisseur NIS2 2026.